FreeBSD 9.3-RELEASE IPFW вопрос

Plaguer · Эксперт

Есть шлюз на FreeBSD 9.3-RELEASE. В ядро было добавлено:

Нажмите сюда, чтобы просмотреть текст

options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=100
options IPFIREWALL_NAT
options LIBALIAS
options IPDIVERT

options IPFIREWALL_FORWARD

Собственно хотел спросить у уважаемых гуру по поводу корректности моих правил ядерного IPFW на роутере:

Нажмите сюда, чтобы просмотреть текст

Код:

#!/bin/sh

#PPPoE сессия долго поднимается, пришлось внести задержку в старт фаерволла
sleep 10

#table 1 gen (incoming allow from)
/bin/sh /root/table_1_gen.sh

#table 3 gen (deny list)
/bin/sh /root/table_3_gen.sh

exface="tun0" #внешний интерфейс
inface="em0" #внутренний интерфейс
exip="внешний-ip-адрес"
imask=255.255.255.0
fwcmd="/sbin/ipfw"

# flush all rules (no output, forced)
${fwcmd} -q -f flush

# allow lo0 and block other
${fwcmd} add allow ip from any to any via lo0
${fwcmd} add deny all from any to 127.0.0.0/8
${fwcmd} add deny all from 127.0.0.0/8 to any

# block broadcasts and muticasts
${fwcmd} add deny ip from any to 255.255.255.255 via $exface
${fwcmd} add deny ip from any to 240.0.0.0/4 via $exface

# block frag ICMP.
${fwcmd} add deny icmp from any to any frag

# allow SSH
${fwcmd} add allow tcp from 192.168.1.0/24 to me 22 via $inface
${fwcmd} add allow tcp from me 22 to 192.168.1.0/24 via $inface

${fwcmd} add allow tcp from %мой внешний ip% to me 22 via $exface
${fwcmd} add allow tcp from me 22 to %мой внешний ip% via $exface

# deny other SSH
${fwcmd} add deny tcp from any to me 22

######################
# NAT #
######################
${fwcmd} nat 1 config log if $exface unreg_only same_ports reset \
redirect_port tcp 192.168.1.120:3389 4444

${fwcmd} add nat 1 ip4 from 192.168.1.0/24 to any out xmit $exface
${fwcmd} add nat 1 ip4 from any to $exip in recv $exface

# allow icmp echo-reply, destination unreachable, echo-request, time-exceeded, traceroute
${fwcmd} add allow icmp from any to any icmptypes 0,3,8,11,30
${fwcmd} add deny icmp from any to any

# allow $inface
${fwcmd} add allow ip from any to me via $inface
${fwcmd} add allow ip from me to any via $inface

# deny list
${fwcmd} add deny ip from table$3$ to any

# allow for remote work
${fwcmd} add allow ip from table$1$ to 192.168.1.0/24
${fwcmd} add allow ip from 192.168.1.0/24 to table$1$

# allow from LAN to mangosip.ru
${fwcmd} add allow ip4 from 192.168.1.0/24 to 81.88.86.11
${fwcmd} add allow ip4 from 81.88.86.11 to 192.168.1.0/24

# allow UDP for SIP
${fwcmd} add allow udp from 192.168.1.0/24 to any
${fwcmd} add allow udp from any to 192.168.1.0/24

# allow inet for LAN
${fwcmd} add allow tcp from 192.168.1.0/24 to any via $inface setup keep-state

# allow any connection out, adding state for each
${fwcmd} add allow tcp from me to any setup keep-state

# allow access to our NTP
${fwcmd} add allow udp from me to any 123 keep-state

# allow DNS queries out in the world
${fwcmd} add allow udp from me to any 53 keep-state

# deny all and logs in /var/log/security
${fwcmd} add 65534 deny log ip from any to any

В принципи всё работает так как и ожидалось, вопрос в том насколько правильно размещение разрешающих правил до правил NATа, по моей логике то что не нужно заворачивать в NAT как раз и должно размещаться в списке правил до него...
Нормальной критике или ссылкой на хорощий мануал по KERNEL-NAT IPFW тоже буду рад.

k0stE · Гуру

Опять черти повылазили. Smile

Plaguer · Эксперт

k0stE
Понятно что клиент с серым ip-адресом без подмены source-ip не сможет выйти в интернет.
Просто я заметил что если перенести правила касающиеся самого шлюза ниже натирующих, то у правил разрешающих доступ к серверу перестаёт срабатывать счётчик. Как будто сами натирующие и становятся разрешающими Shocked

При этом если сканировать открытые порты из дикого инета - всё закрыто..

k0stE · Гуру

Evarist · Форумчанин

Arkan · Гуру

У меня правила KERNEL-NAT
прописанны были самыми последними в конфиге

с самого начала разрешаю только то что конкретно знаю по портам и адресам
потом запрещаю все что знаю и все что не знаю
и последними именно правила ната

P.S.
а вообще если честно я давно уже отказался от KERNEL-NAT
использую почти всегда IP-NAT с правилами в отдельном конфиге

Отказался от KERNEL-NAT по той причине что есть ограничение add nat 1,2,3,4,5.....
у IP-NATa таких ограничений нет, могу и 5000 правил написать